当前，数据防泄露是当前信息安全的主要问题。基于不同的法律环境、文化理念和网络环境，国内外数据泄露防护（DLP）体系DLP要解决的具体问题是不同的。区别于国外DLP以防外部窃密和内部无意泄密，国内DLP以防止内部故意泄密为主，兼防内部无意泄密和外部窃密。因此，国内DLP强调的是主动防御，通过“事前主动防御、事中及时控制、事后及时追踪、全面杜绝泄密”软件设计理念，以加密技术为核心，结合多种信息安全技术，建立完善的DLP方案。

　　一、数据泄露防护（DLP）体系概念

　　数据泄露防护（Data leakage prevention, DLP），又称为“数据丢失防御”(Data Loss prevention, DLP)，有时也称为“信息泄漏防御”(Information leakage prevention, ILP)。数据泄漏防护是通过一定的技术手段，防止企业的指定数据或信息资产以违反安全策略规定的形式流出企业。

　　通常认为，DLP的实施之前分六个步骤进行准备：

　　(一) 企业先将数据进行分类，同时对“涉密数据”进行定义，然后确定哪些数据需要保护；

　　(二) 确定涉密数据在企业系统中的存放位置，企业应清楚确定有多少数据存放在员工的计算机、公司的服务器或数据库等；

　　(三) 清楚掌握数据的位置，便能为数据的流出、流入提供实时的监控及保护，包括经电子邮件、http、即时消息等途径发放的资料；

　　(四) 数据泄漏很多时都是人为所致，因此企业必须制定员工传送机密数据的权限；

　　(五) 企业亦需监控数据被送达的地方是否安全，如商业伙伴或网上电子邮件等；

　　(六) 最后，企业必需注意员工运用什么途径传送档案，这些途径包括所有移动储存硬盘和点对点传送等。

　　完整执行上述6个步骤，基本可以企业的机密资料做出全面梳理，为实施DLP做好基础性工作。把涉密信息与非涉密信息区分开来，采用等级管理办法，针对不同的信息分别进行防护。

　　二、数据泄露防护（DLP）所解决的问题

　　目前，数据泄露的原因主要有三种：窃密、泄密和失密。虽然网络无边界，但是人员有内外。综合两方面因素，数据泄露有以下几种情况：

　　1）、外部黑客窃密

　　现在网络病毒、木马猖獗，许多电脑在不小心之下就成为肉鸡，这已经成为普遍现象。黑客已经不再是一个技术问题、道德问题，而已经成为一种社会现象。黑客窃密已经成为信息安全的一大威胁，所以不得不防。

　　2）、外部间谍窃密

　　不管是政府、军队和企事业单位，都不可避免面对间谍的威胁。中国处于高速发展时期，国外许多敌对势力或者是跨国竞争对手，一直在对中国虎视眈眈。间谍案件屡见不鲜，仍然不可掉以轻心。

　　3）、外部竞争对手窃密

　　商场如战场。现代的商业竞争往往各种手段都采用，近几年竞争对手派人到对方公司卧底，或者是收买竞争公司人员窃取资料，也时常见诸报端。

　　4）、内部人员离职拷贝带走资料泄密

　　经济危机到来，许多公司纷纷裁员。美国密西根州的珀纳蒙研究所研究报告，研究结果显示，离职人员带走的公司信息对竞争者具有价值，67%的人表示他们使用前雇主的商业机密、敏感信息和专利信息帮助其在新公司立足。离职雇员这种行为不仅是将公司客户信息以及其他公司商业机密置于危险之中，还将对公司的竞争力和公司未来的经营造成很大的负面影响。

　　5）、内部人员无意泄密

　　误将商业计划书当作普通文档发送给了媒体、无意间将公司内部工资表群发给了所有员工等等。许多泄密事件，并不是有人盗窃，也不是有人在发泄，而是在没有意识到是需要保密的机密，以致让内部绝密文件满天飞。

　　6）、内部人员有意（恶意）泄密

　　明知是公司保密资料，却故意发到论坛上，这种事情虽然为数不多，却也不是没有。这种情况，往往是对公司心怀不满，处于发泄目的，或者是为图个人名利。这种情况所造成的后果往往都会很严重，比如3.15晚会上曝光的山东移动公司内部员工，出于谋利，把客户资料贩卖到外部，就是一个典型例子。

　　7）、内部文档权限失控失密

　　存放在共享服务器上的文档，成为公共图书馆里的杂志，任何人都可以看上一眼，这恐怕不是公司管理者看到的。一份董事会发给董秘的文件，只允许当事人阅读，却被当事人修改，这往往成为一个灾难性的事件。文档的阅读、修改、打印、复制等权限在没受到控制的情况下，往往也会导致泄密。

　　8）、存储设备丢失和维修失密

　　美国FBI在44个月里，就丢掉了160件武器（包括训练用武器）和160台笔记本电脑，虽然有严格的管理制度，但是遗忘是人大脑的生理机能，无法完全避免。当陈冠希把笔记本电脑送到维修处的时候，他恐怕做梦也想不到自己第二天将成为诸多报纸的头条主角。存储设备丢失和维修，是机密泄露的途径之一，要想设备都不被丢失，这是不可能完成的任务。

　　9）、对外信息发布失控失密

　　当重要资料发到合作伙伴那里的时候，你是不是也胆战心惊，担心合作伙伴随时都可能把资料发给第三方？许多时候，我们都希望我们发送到外部的资料能得到控制，只允许被阅读三次，或者不允许被打印？如果这些都得不到控制的时候，那对外发布的信息，很可能就成为泄密的一大原因和途径。

　　以上九种，基本囊括了目前主要的泄密原因，任何一种情况下的泄密都可能会带来致命的危险。一个完善的数据泄露防护体系，必须能防止以上种种泄密。否则，花费数万、数十万甚至数百万买来的软件，只会是一个摆设。当我们在考虑数据泄露防护（DLP）体系的时候，我们不仅要求能防止网络黑客窃密，也要防止内部泄密，不仅防止无意间的泄密，也要防止内部恶意泄密，不仅防止固定存储设备安全，还要保证移动存储设备数据不会丢失，还要确保对外发送的文档能有效杜绝二次扩散。

　　三、什么数据泄露防护（DLP）体系适合于中国国情？

　　要保证防止以上九种泄密，采用国外DLP解决方案是做不到的。以内容识别、出口检测、涉密信息警告和日志审计为主的数据泄露防护（DLP）能够做到的是防止外部网络黑客窃密，或者是防止内部无意间泄密。对于那些处心积虑盗窃内部机密信息的内部人员，或者是满腹怨气拷贝重要资料的离职员工，甚至是把硬盘直接卸下偷走，一个警告是没有丝毫作用的。所以现在国外DLP方案在国内乏人问津，偶有测试，却实施者全无，正是因为这一点。

　　国外DLP厂商也正是认识到了这一点，所以纷纷集成了加密技术，现在多数国外DLP软件都具备加密功能。但是，即便如此，这些集成了加密功能的DLP却不能在中国销售。根据国家法律规定，凡是涉及到商用密码的软件产品，都必须取得国家商用密码管理局颁发的“国家商用密码生产销售单位”许可证，由于众所周知的原因，国外DLP厂商根本无法获得这个许可证。如果国外DLP厂商敢冒天下之大不韪，公然违反法律在中国销售带加密功能的DLP，必定遭到国家法律的严惩，而且其用户也将因此遭到巨大损失。

　　通过数据加密来保证数据安全，防止泄密，已经成为国内外DLP厂商的共识，而且也是当前最有效的解决办法。以数据加密为核心的数据泄露防护（DLP）解决方案，已经成为中国国内主流方案，并得到了众多用户的认可。不同行业不同类型的用户，纷纷采用DLP方案来保护机密信息。以北京亿赛通为例，其用户包括政府行业、军队、军工企业、金融机构、通信行业、制造企业等。全国数百家用户如国家外交部、酒泉卫星发射中心、解放军二炮、中国空军、中国移动集团、联想移动、浙江正泰集团等等，已经采用了亿赛通DLP解决方案来防止内部和外部造成的窃密、泄密和失密。

　　四、科学严谨的数据泄露防护（DLP）解决方案功能体系

　　除了加密之外，还需要具备哪些功能才能够构成完善的DLP方案解决方案呢？是不是只需要加密就可以完全搞定所有的防泄密问题？

　　答案是：NO。

　　在整个内网架构中，存在终端、磁盘（硬盘）、服务器、端口、移动存储设备等等不同的节点。不同的节点，信息产生和保存的情况都是不一样的。如果采用静态加密方式，却又不适合于用户的业务流程，更做不到全程加密，必然留下泄密的漏洞。即使是对密文的保护，也要结合访问控制、身份认证、日志审计、文档备份、系统容灾、业务流程审批、全磁盘加密、移动设备保护、服务器加密、数据库加密等等多种手段相结合。

　　一个科学严谨的数据泄露防护（DLP）解决方案必须具备哪些功能呢？笔者参考了亿赛通数据泄露防护（DLP）解决方案，画出了完善的DLP方案功能图，供读者参阅。

　　亿赛通基于驱动层透明动态加解密技术，采用对应客户需求的安全策略，以透明加密功能为核心，结合文档透明加密、文档权限管理、文档外发控制、文档备份、业务流程审批、磁盘全盘加密、磁盘分区加密等基本功能，融合身份认证、日志审计、端口管理、移动存储管控和系统容灾管理等功能。亿赛通DLP产品分为文档加密级DLP和数据加密级DLP两大系列，通过对终端、端口、磁盘、服务器、笔记本电脑、移动存储设备、数据库等进行管理，严密防止内部泄密和外部窃密。

　　如下图：